Phishing, fraudes personalizados e IA están llevando la ciberseguridad hacia el comportamiento humano.
Una empresa puede invertir en firewalls, sistemas de monitoreo, cifrado y servidores actualizados. Aun así, un atacante podría intentar saltarse todo ese arsenal con algo mucho más sencillo: convencer a una persona de abrir un enlace, entregar una contraseña o aprobar una solicitud que parece legítima.
Ese es el terreno de la ingeniería social, y también la razón por la que la ciberseguridad está ampliando su mirada. Ya no basta con preguntarse qué tan protegidos están los computadores y las aplicaciones. Las organizaciones también necesitan entender cómo reaccionan las personas cuando alguien intenta engañarlas.
Eso no significa que los sistemas hayan dejado de importar. De hecho, el Data Breach Investigations Report 2026 de Verizon encontró que la explotación de vulnerabilidades de software originó el 31 % de las brechas estudiadas. El problema es que, al mismo tiempo, los atacantes siguen encontrando maneras de convertir nuestras decisiones en una vía de entrada.
Otros datos: Qué significa la propuesta de Huawei de “IA contra IA” en ciberseguridad en Andicom
Puedes proteger el computador, pero no decidir por quien lo usa
La ingeniería social funciona precisamente porque intenta evitar la confrontación directa con las defensas técnicas. En lugar de romper una contraseña, busca conseguir que alguien la entregue. En vez de vulnerar un sistema de pagos, puede intentar convencer a un trabajador de que la transferencia solicitada por correo realmente viene de su jefe.
Microsoft Incident Response encontró que el 28 % de las brechas analizadas en su reporte de 2025 comenzaron mediante phishing o ingeniería social. Otros puntos de entrada siguieron siendo completamente técnicos, como activos web sin parches o servicios remotos expuestos.
La conclusión no es que las personas reemplazaron a los sistemas como problema de seguridad. Es que ambos frentes necesitan defensas distintas.
Una vulnerabilidad de software puede corregirse con un parche. Reconocer una llamada perfectamente contextualizada, un mensaje de WhatsApp urgente o una página falsa construida para una víctima específica es bastante menos mecánico.
Más ciberseguridad: Hay un multimillonario error en ciberseguridad que las empresas están ignorando: Lobitsky
Los engaños están aprendiendo a parecer menos engaños
Durante años, el ejemplo clásico de phishing fue ese correo con errores evidentes, una dirección extraña y alguna promesa difícil de creer. Ese modelo todavía existe, pero ya no representa todo el problema.
La inteligencia artificial permite producir mensajes, sitios web, imágenes, voces y perfiles falsos con mucha mayor facilidad. Microsoft advierte que los delincuentes ya utilizan IA para escalar campañas de phishing y construir identidades sintéticas, además de recurrir a deepfakes de audio y video para suplantar personas u organizaciones.
Y cuando un atacante dispone además de información pública o proveniente de filtraciones, el engaño puede incorporar nombres, cargos, proveedores, relaciones laborales o rutinas reconocibles.
La lógica empieza a parecerse incómodamente a la publicidad digital: persona correcta, mensaje correcto y momento correcto. Solo que esta vez el objetivo del clic no es vender unos zapatos.
De enseñar qué es phishing a medir cómo reacciona cada persona
Esa conexión entre personalización y seguridad está detrás de Fensivo, una startup colombiana que busca medir el riesgo humano mediante simulaciones de ingeniería social.
Otros datos: “Le estamos dejando la vida en bandeja de plata a la IA”: los peligros de jugar a perfilarte según ESET
Su fundador, José Vicente Chávez, trabajó durante ocho años en Rappi en áreas de monetización y personalización para más de 350 marcas en nueve países. Fensivo plantea trasladar parte de esa experiencia al terreno de la seguridad: utilizar contexto y segmentación para construir simulaciones más cercanas a los ataques que podría recibir realmente una persona.
La diferencia frente a una capacitación convencional está en qué se intenta medir. No se trata únicamente de mostrar una presentación anual que diga “no abra enlaces sospechosos”, sino de comprobar cómo reaccionan distintos perfiles cuando el mensaje resulta suficientemente convincente.
Las simulaciones permiten identificar patrones: quién abrió el mensaje, qué tipo de argumento consiguió generar una respuesta, en qué momento ocurrió y qué entrenamiento podría reducir ese riesgo posteriormente.
Eso también evita una simplificación frecuente: llamar al trabajador “el eslabón más débil” y dar el problema por explicado. Si una organización permite que una única acción humana conceda acceso crítico o autorice una operación sensible, la arquitectura de seguridad también debe estar diseñada para limitar las consecuencias de esa equivocación.
La solución tampoco es escoger entre personas y tecnología
Entrenar mejor a los empleados no reemplaza una buena seguridad técnica.
CISA continúa recomendando medidas como autenticación multifactor resistente al phishing, controles de acceso basados en funciones, privilegios mínimos y políticas que reduzcan lo que puede hacer una cuenta comprometida. Algunas tecnologías basadas en FIDO, por ejemplo, pueden bloquear intentos de autenticación en sitios fraudulentos aunque el usuario haya sido engañado para entrar allí.
Esa combinación probablemente describe mejor hacia dónde está avanzando la ciberseguridad: sistemas que dificultan el ataque y personas preparadas para reconocer aquello que la tecnología no puede decidir por ellas.
El cambio también implica medir el riesgo humano con más detalle. Saber que alguien completó un curso de seguridad dice poco sobre lo que hará cuando reciba una llamada urgente, un mensaje de texto que parece venir del banco o una solicitud construida con datos que reconoce como reales.
En ese espacio quiere competir Fensivo: utilizar simulaciones para descubrir esas respuestas antes de que quien esté haciendo la prueba sea un delincuente.
¿Sabías que?
El correo electrónico ya no necesariamente es el lugar donde resulta más fácil engañarnos. En las simulaciones analizadas por Verizon para su Data Breach Investigations Report 2026, los ataques de ingeniería social enviados mediante canales móviles —como llamadas y mensajes de texto— tuvieron una tasa de éxito 40 % superior a la del phishing tradicional por correo electrónico.
Eso ayuda a explicar por qué proteger a las personas requiere algo más que aprender a reconocer un correo sospechoso. El ataque puede aparecer en el computador, pero también en el teléfono que llevamos todo el día en el bolsillo, dentro de una conversación aparentemente normal y justo cuando bajar la guardia parece lo más natural.
